تقدم هذه المقالة شرحًا كاملاً للتحكم في الوصول المستند إلى الدور (RBAC) بالإضافة إلى دليل خطوة بخطوة لنشر RBAC وصيانته وتوسيعه لتلبية احتياجات مؤسستك. ستتعرف على الأدوار وكيفية تحديدها وكيفية استخدامها لتنظيم الوصول قد يساعد في تأمين شبكتك وتقليل التكاليف الإدارية وضمان الامتثال التنظيمي. سنرى أيضًا بعض الأمثلة على التحكم في الوصول المستند إلى الدور. هيا بنا نبدأ.
ما هو التحكم في الوصول المستند إلى الدور (RBAC)؟
يشار إلى مفهوم توفير الأذونات للأشخاص بناءً على دورهم داخل المنظمة باسم التحكم في الوصول المستند إلى الدور (RBAC). يوفر نهجًا أساسيًا خاضعًا للرقابة لإدارة الوصول يكون أقل عرضة للخطأ من توفير أذونات فردية للمستخدمين.
عند استخدام RBAC لإدارة الوصول إلى الأدوار ، تقوم بفحص طلبات المستخدمين وتجميعهم في أدوار بناءً على الواجبات المشتركة. بعد ذلك ، لكل مستخدم ، تقوم بتعيين دور واحد أو أكثر وأذونًا واحدًا أو أكثر لكل دور. نظرًا لأن المستخدمين لم يعودوا بحاجة إلى إدارتهم بشكل عشوائي ، فإن علاقات دور المستخدم وأدوار الأذونات تجعل من السهل القيام بتعيينات المستخدم.
تاريخ التحكم في الوصول المستند إلى الدور
منذ السبعينيات على الأقل ، استخدم الأشخاص الأدوار والمسؤوليات للتحكم في الوصول إلى أنظمة الكمبيوتر التجارية. ومع ذلك ، كانت هذه الأساليب مخصصة وكثيراً ما كان يتعين تعديلها على أساس كل حالة على حدة لكل نظام جديد.
لم يبدأ الباحثون في المعهد الوطني الأمريكي للمعايير (NIST) في تعريف النظام المعروف باسم التحكم في الوصول المستند إلى الدور حتى عام 1992. في نفس العام ، نشر فيرايولو وكون ورقة تحدد آلية التحكم في الوصول للأغراض العامة المناسبة للمدنيين و الاستخدام التجاري ، مما يضع الأساس للنموذج الذي نستخدمه اليوم.
خلال التسعينيات وأوائل العقد الأول من القرن الحادي والعشرين ، قام Ferraiolo و Kuhn وآخرون بتحسين RBAC ، بناءً على العمل السابق للتحقيق في الفوائد الاقتصادية لـ RBAC ، وتحديد نموذج موحد ، والأهم من ذلك ، تحديد تقسيم أشكال الواجب. تم اعتماد RBAC رسميًا كمعيار صناعي بواسطة NIST في عام 1990.
كيف يعمل RBAC للتحكم في الوصول المستند إلى الدور؟
قبل نشر RBAC في الأعمال التجارية ، يجب على المنظمة تحديد الأذونات لكل دور بدقة. يتضمن ذلك التحديد الدقيق للأذونات في الفئات المدرجة أدناه:
- أذونات تعديل البيانات (على سبيل المثال ، القراءة والكتابة والوصول الكامل)
- الوصول إلى استخدام برامج الشركة
- أذونات داخل البرنامج
لتحقيق أقصى استفادة من RBAC ، يجب عليك أولاً تصميم الأدوار والأذونات. إن تعيين جميع مسؤوليات الموظفين لوظائف معينة تنشئ امتيازات مناسبة هو جزء من هذا. يمكن للمنظمة بعد ذلك تعيين المناصب بناءً على مهام الموظفين.
يمكن للمؤسسات استخدام التحكم في الوصول المستند إلى الأدوار لتعيين دور واحد أو أكثر لكل مستخدم أو لتعيين الأذونات بشكل فردي. الفكرة هي تعيين الأذونات التي تسمح للمستخدمين بإكمال واجباتهم دون إجراء أي تعديلات إضافية.
يتم استخدام تقنيات إدارة الهوية والوصول (IAM) من قبل المنظمات لتنفيذ ومراقبة RBAC. يخدم IAM المؤسسات الكبيرة بشكل أساسي من خلال تسجيل ومراقبة وتحديث جميع الهويات والأذونات. تُعرف عملية تعيين الإذن باسم "التوفير" ، وتُعرف عملية إبطال الإذن باسم "إلغاء حق الوصول". يتطلب هذا النوع من النظام إنشاء مجموعة موحدة وموحدة من الأدوار.
ما هو دور RBAC للتحكم في الوصول المستند إلى الدور؟
الأدوار هي دلالات داخل بنية RBAC التي يمكن للمؤسسات استخدامها لبناء امتيازاتها. يمكن استخدام السلطة والمسؤولية ومركز التكلفة ووحدة الأعمال وعوامل أخرى لتحديد الأدوار.
الدور عبارة عن مجموعة من امتيازات المستخدم. تختلف المجموعات التقليدية ، وهي مجموعات من المستخدمين ، عن الأدوار. لا ترتبط الأذونات مباشرة بالهويات في سياق RBAC ، بل بالأدوار. نظرًا لأنها منظمة حول إدارة الوصول ، فإن الأدوار أكثر جدارة بالثقة من المجموعات. تتغير الهوية بشكل متكرر أكثر من الميزات والأنشطة في الأعمال العادية.
نموذج RBAC للتحكم في الوصول المستند إلى الدور
يحدد معيار RBAC ثلاثة أشكال من التحكم في الوصول: الأساسية والتسلسل الهرمي والمحصور.
# 1. الأساسية RBAC
يحدد النموذج الأساسي المكونات الرئيسية لأي نظام تحكم في الوصول قائم على الدور. بينما يمكن استخدام RBAC الأساسي كنهج مستقل للتحكم في الوصول ، فإنه يعمل أيضًا كأساس لكل من النماذج الهرمية والنماذج المقيدة.
نتيجة لذلك ، يجب أن تتبع جميع مكاتب RBAC القواعد الثلاثة الموضحة أدناه:
- اختيار الدور أو التعيين: لا يمكن لأي شخص ممارسة تصريح إلا إذا اختار أو تم تخصيص دور له.
- تفويض الدور: الدور النشط للموضوع يجب أن يؤذن.
- تفويض الأذونات: يمكن للموضوع فقط ممارسة الأذونات المسموح بها للدور النشط للموضوع.
# 2. التسلسل الهرمي RBAC
من خلال الاعتقاد بأن دفاعاتك قد تم اختراقها بالفعل ، يمكنك اتخاذ موقف أمني أقوى ضد الهجمات المحتملة ، مما يقلل من تأثير الاختراق. حدد "نطاق الانفجار" للضرر المحتمل الناجم عن الاختراق عن طريق تقسيم الوصول وتقليل سطح الهجوم ، وتأكيد التشفير من طرف إلى طرف ، ومراقبة شبكتك في الوقت الفعلي.
# 3. RBAC مقيدة
يمتد معيار RBAC الثالث هذا لتقسيم أدوار النموذج الأساسي. تصنف علاقات الفصل بين الواجبات على أنها ثابتة أو ديناميكية.
- لا يمكن لمستخدم واحد تحمل مسؤوليات حصرية متبادلة في علاقات الفصل الثابت للواجب (SSD) (على النحو المحدد من قبل المنظمة). وهذا يضمن ، على سبيل المثال ، عدم تمكن شخص واحد من إجراء عملية شراء والموافقة عليها.
- يمكن أن يكون للمستخدم ضمن نموذج الفصل الديناميكي للواجب (DSD) أدوارًا متناقضة. ومع ذلك ، لا يجوز للمستخدم أداء كلا المهمتين في نفس الجلسة. يساعد هذا القيد في السيطرة على مخاوف الأمن الداخلي من خلال ، على سبيل المثال ، تنفيذ قاعدة الشخصين ، والتي تتطلب اثنين من المستخدمين الفريدين لتفويض أحد الإجراءات.
أمثلة على التحكم في الوصول المستند إلى الأدوار
يسمح لك RBAC بالتحكم في ما يمكن للمستخدمين النهائيين القيام به على المستويين الواسع والدقيق. يمكنك تحديد ما إذا كان المستخدم مسؤولاً أو مستخدمًا متخصصًا أو مستخدمًا نهائيًا ، ويمكنك مطابقة المسؤوليات وأذونات الوصول إلى المناصب التنظيمية لموظفيك. يتم منح الأذونات فقط مع وصول كافٍ للموظفين لإنجاز مهامهم.
ماذا لو تغير وصف المستخدم النهائي؟ قد تحتاج إلى منح دورهم إلى مستخدم آخر يدويًا ، أو يمكنك تعيين أدوار لمجموعة دور أو استخدام سياسة تعيين الدور لإضافة أعضاء مجموعة الدور أو حذفهم.
قد تتضمن أداة RBAC التعيينات التالية:
- نطاق دور الإدارة - يقيد العناصر التي يمكن لمجموعة الدور التعامل معها.
- مجموعة دور الإدارة - يمكنك إضافة وإزالة أعضاء من مجموعة دور الإدارة.
- دور الإدارة - هذه هي أنواع المهام التي يمكن لمجموعة دور معينة إنجازها.
- تعيين دور الإدارة- هذه هي عملية تعيين دور لمجموعة دور.
عند إضافة مستخدم إلى مجموعة دور ، يحصل المستخدم على حق الوصول إلى جميع الأدوار في تلك المجموعة. عند إزالتها ، يتم تقييد الوصول. يمكن أيضًا تعيين المستخدمين إلى مجموعات عديدة إذا كانوا يحتاجون إلى وصول مؤقت إلى بيانات أو تطبيقات محددة ثم حذفهم بعد انتهاء المشروع.
قد تشمل إمكانيات وصول المستخدم الأخرى ما يلي:
- جهة الاتصال الرئيسية لحساب أو دور معين.
- الفوترة - الوصول إلى حساب الفواتير لمستخدم نهائي واحد.
- المستخدمون الفنيون هم أولئك الذين يقومون بواجبات فنية.
- يتم منح حق الوصول الإداري للمستخدمين الذين يقومون بأنشطة إدارية.
بدائل RBAC: أنواع التحكم في الوصول
يمكن استخدام آليات أخرى للتحكم في الوصول بدلاً من التحكم في الوصول المستند إلى الدور.
قائمة التحكم بالوصول (ACL)
قائمة التحكم في الوصول (ACL) هي جدول يسرد الأذونات المرتبطة بموارد الحوسبة. يقوم بإعلام نظام التشغيل حول المستخدمين الذين يمكنهم الوصول إلى كائن وما الإجراءات التي يمكنهم القيام بها عليه. لكل مستخدم إدخال مرتبط بخصائص الأمان لكل عنصر. بالنسبة لأنظمة DAC الكلاسيكية ، عادةً ما يتم استخدام ACL.
ACL مقابل RBAC
من حيث الأمان والتكلفة الإدارية ، يتفوق RBAC على ACL في معظم تطبيقات الأعمال. يعد ACL أكثر ملاءمة لتنفيذ الأمان على مستوى المستخدم الفردي وللبيانات منخفضة المستوى ، ولكن RBAC أكثر ملاءمة لنظام أمان على مستوى الشركة يشرف عليه المسؤول. يمكن لقائمة التحكم بالوصول (ACL) ، على سبيل المثال ، تمكين الوصول للكتابة إلى ملف معين ولكن لا يمكنها تحديد كيفية تغيير الملف بواسطة المستخدم.
التحكم في الوصول المستند إلى السمات (ABAC)
تقوم ABAC بتقييم مجموعة من القواعد والسياسات من أجل التحكم في أذونات الوصول بناءً على صفات معينة مثل المعلومات البيئية أو النظام أو الكائن أو المستخدم. يستخدم المنطق المنطقي للسماح أو رفض وصول الأشخاص بناءً على تقييم معقد للخصائص الذرية أو ذات القيمة المحددة وعلاقاتهم.
في الممارسة العملية ، يمكّنك هذا من تحديد القواعد في لغة تمييز التحكم في الوصول القابلة للتوسيع (XACML) التي تستخدم مجموعات القيمة الرئيسية مثل الدور = المدير والفئة = المالية.
ABAC مقابل RBAC
يعتمد RBAC على أدوار محددة مسبقًا ، في حين أن ABAC أكثر ديناميكية ويستخدم التحكم في الوصول المستند إلى العلاقة. يمكن استخدام RBAC لتحديد ضوابط الوصول في حدود عريضة ، بينما توفر ABAC مزيدًا من التفاصيل. نظام RBAC ، على سبيل المثال ، يمنح الوصول إلى جميع المديرين ، في حين أن سياسة ABAC تمنح فقط الوصول إلى المديرين في الإدارة المالية. تقوم ABAC بإجراء بحث أكثر تعقيدًا ، والذي يتطلب المزيد من قوة المعالجة والوقت ، وبالتالي لا تستخدمه إلا عندما يكون RBAC غير كافٍ.
مزايا RBAC
- تعد إدارة ومراجعة الوصول إلى الشبكة أمرًا بالغ الأهمية لأمن المعلومات. يمكن وينبغي السماح بالوصول بناءً على الحاجة إلى المعرفة. تتم إدارة الأمن بسهولة أكبر مع مئات أو آلاف الموظفين من خلال تقييد الوصول غير الضروري إلى المعلومات الهامة بناءً على الدور المعلن لكل مستخدم في العمل. تشمل المزايا الأخرى ما يلي:
- سيتم تقليل الدعم الإداري ودعم تكنولوجيا المعلومات. عندما يتم تعيين موظف أو تغيير الأدوار ، يمكنك استخدام RBAC لتقليل متطلبات العمل الورقي وتغييرات كلمة المرور. بدلاً من ذلك ، يمكنك استخدام RBAC لإضافة الأدوار ونقلها بسرعة عبر أنظمة التشغيل والأنظمة الأساسية والتطبيقات. كما أنه يقلل من احتمال حدوث خطأ أثناء منح أذونات المستخدم. تتمثل إحدى الفوائد الاقتصادية العديدة للمكتب الإقليمي لأفريقيا الوسطى في تقليل الوقت الذي يقضيه في الأنشطة الإدارية. يسهل RBAC أيضًا تكامل مستخدمي الجهات الخارجية في شبكتك عن طريق تعيين أدوار محددة مسبقًا لهم.
- زيادة الكفاءة التشغيلية. يوفر RBAC نهجًا مبسطًا مع تعريفات منطقية. بدلاً من محاولة إدارة التحكم في الوصول ذي المستوى الأدنى ، يمكن مواءمة جميع الأدوار مع الهيكل التنظيمي للأعمال ، مما يسمح للمستخدمين بإنجاز واجباتهم بشكل أكثر كفاءة واستقلالية.
- زيادة الامتثال. تنطبق القيود الفيدرالية والخاصة بالولاية والبلدية على جميع المنظمات. يمكن للشركات تلبية المعايير القانونية والتنظيمية للخصوصية والسرية بسهولة أكبر مع نظام RBAC المعمول به لأن إدارات تكنولوجيا المعلومات والمديرين التنفيذيين يمكنهم التحكم في كيفية الوصول إلى البيانات واستخدامها. هذا مهم بشكل خاص للرعاية الصحية والمؤسسات المالية ، التي تتعامل مع كمية كبيرة من البيانات الحساسة مثل PHI و PCI.
أفضل الممارسات لتنفيذ RBAC
لا ينبغي الاستخفاف بتنفيذ RBAC في مؤسستك. هناك عدد من المراحل العامة التي يجب اتخاذها من أجل ضم الفريق إلى العمل دون إحداث ارتباك غير ضروري أو تهيج مكان العمل. إليك بعض الأفكار لتبدأ بها.
- الوضع الحالي: قم بإعداد قائمة بكل جزء من البرامج والأجهزة والتطبيقات التي تتمتع بالأمان. سيتطلب غالبية هؤلاء كلمة مرور. ومع ذلك ، قد ترغب في تضمين غرف الخادم الموجودة تحت القفل والمفتاح. يمكن أن يكون الأمن المادي مكونًا مهمًا لحماية البيانات. أيضًا ، حدد من يمكنه الوصول إلى كل من هذه البرامج والأماكن. سيوفر لك هذا لمحة عن وضع بياناتك الحالي.
- الواجبات الحالية: حتى إذا لم يكن لديك قائمة رسمية وقائمة بالأدوار ، فقد يكون تحديد ما يفعله كل فرد من أعضاء الفريق أمرًا بسيطًا مثل الحديث السريع. محاولة ترتيب الفريق بطريقة لا تعيق الإبداع أو الثقافة الحالية (إذا استمتعت).
- إنشاء سياسة: يجب توثيق أي تعديلات ليراها جميع العاملين الحاليين والمستقبليين. حتى إذا كنت تستخدم حل RBAC ، فإن وجود ورقة توضح نظامك الجديد سيساعدك على منع المشاكل.
- التغييرات: بمجرد معرفة حالة الأمان الحالية والأدوار (وتوجد سياسة) ، فقد حان الوقت لتنفيذ التغييرات.
- التكيف باستمرار: من المحتمل أن يحتاج تكرار RBAC الأول إلى بعض التعديل. في وقت مبكر ، يجب عليك تقييم واجباتك وحالتك الأمنية بشكل متكرر. قم أولاً بتقييم مدى نجاح عملية الإبداع / الإنتاج لديك ، ثم تقييم مدى أمان العملية الخاصة بك.
وفي الختام
حماية البيانات هي وظيفة عمل مهمة لأي شركة. يمكن لنظام RBAC أن يضمن أن معلومات الشركة تتوافق مع قوانين الخصوصية والسرية. علاوة على ذلك ، يمكنه تأمين الأنشطة التجارية الأساسية ، مثل الوصول إلى الملكية الفكرية ، والتي لها تأثير تنافسي على المنظمة.
الأسئلة الشائعة حول التحكم في الوصول المستند إلى الدور
ما هي القواعد الأساسية الثلاثة لـ RBAC؟
تجعل مكونات RBAC مثل أذونات الدور ودور المستخدم وعلاقات الدور والدور تعيينات المستخدم بسيطة.
لماذا يتم استخدام ACL؟
تقليل حركة مرور الشبكة لتحسين أداء الشبكة. مستوى أمان الشبكة الذي يحدد أقسام الخادم / الشبكة / الخدمة التي يمكن للمستخدم الوصول إليها ولا يمكنه الوصول إليها. تتبع دقيق لحركة المرور الداخلة والخارجة من النظام.
ما هو الفرق بين التحكم في الوصول المستند إلى الدور والتحكم في الوصول المستند إلى القواعد؟
لا يتم تحديد مستويات وصول الموظفين من خلال ضوابط الوصول المستندة إلى القواعد ، والتي تعتبر وقائية بطبيعتها. بدلاً من ذلك ، يعملون على منع الوصول غير المرغوب فيه. تعتبر النماذج المستندة إلى الأدوار استباقية من حيث أنها تقدم للموظفين مجموعة من الشروط التي يمكنهم بموجبها الحصول على حق الوصول المعتمد.
- التحكم في الوصول الاختياري: التعريف والأمثلة
- التحكم في الوصول الإلزامي MAC: كيف يعمل
- أدوات إدارة الدليل النشط: ما هو وكل ما تحتاج لمعرفته حوله
- قسم التسويق: نظرة عامة ، الهيكل ، الأدوار ، التوقعات (+ نصائح مجانية)
- مساعد إداري افتراضي: الوظائف والخدمات والشركات والمتطلبات وكل ما تحتاجه.
مراجع حسابات
